Om I skal, bør eller kan foretage baggrundskontrol af medarbejdere, afhænger af, hvilket regelsæt I er omfattet af. For de fleste NIS 2-enheder er det en mulighed, som vejledningen beskriver. For digitale enheder er det et krav i forordning 2024/2690. For kritiske enheder efter CER-loven er det en adgang, der kræver nærmere regler.
En audit, der blander de tre sammen, giver forkerte fund. Denne artikel holder dem adskilt. Den siger intet om, hvilke oplysninger I må indhente om en person. Det er et juridisk spørgsmål uden for auditten.
Grundlag 1: vejledningen for alle NIS 2-enheder
Personalesikkerhed er punkt 9 i listen i lovens § 6, stk. 1. Styrelsens vejledning om foranstaltningerne fra juni 2025 omtaler baggrundskontrol i afsnit 9.a, og her er den et forslag.
Enheden kan foretage baggrundskontrol af nyansatte og, hvor det er relevant, af direkte leverandører og konsulenter, hvis det er påkrævet ud fra en risikovurdering af deres rolle, ansvar og beføjelser og de systemer, de arbejder med. Kontrollen kan spænde fra eksamensbeviser, referencer og identitet til sikkerhedsgodkendelser i offentligt regi.
Vælger enheden at bruge baggrundskontrol, anbefaler vejledningen kriterier for, hvilke roller der kræver kontrol, hensyn til love og etiske regler, og at kontrollen sker før tiltrædelsen. I afsnit 4 om leverandører nævner vejledningen, at aftaler kan indeholde baggrundskontrol af leverandørens personale, der arbejder med kritiske aktiver.
For en almindelig NIS 2-enhed er baggrundskontrol derfor et valg ud fra risikoen. En audit kan se på, om valget er truffet og begrundet. Den kan ikke notere et manglende kontrolsystem som et brud på et krav.
Grundlag 2: forordningen for digitale enheder
Forordning 2024/2690 gælder bl.a. udbydere af cloudcomputingtjenester, datacentertjenester, administrerede tjenester og administrerede sikkerhedstjenester. Hvem der er omfattet, står i MSP, cloud, hosting og datacenter.
Bilagets punkt 10.2 har næsten samme ordlyd som vejledningen, men som krav. Enheden sikrer i det omfang, det er muligt, at der foretages baggrundskontrol af ansatte og, hvor det er relevant, af direkte leverandører og tjenesteydere, hvis det er nødvendigt i forbindelse med deres rolle, ansvarsområder og autoriseringer (10.2.1). Den skal indføre kriterier for roller, der kræver kontrol, og sikre kontrol før tiltrædelse under hensyn til love, forskrifter, etiske regler, aktivernes klassifikation og risici (10.2.2). Politikken gennemgås med planlagte mellemrum (10.2.3).
Bruger en almindelig enhed punktet som målestok, er det et frivilligt valg. Se forordningen som målestok.
Grundlag 3: CER-loven for kritiske enheder
CER-loven (lov nr. 433 af 6. maj 2025) handler om modstandsdygtighed i kritiske enheder. Bliver en virksomhed identificeret som kritisk enhed efter den lov, gør § 4, stk. 3, nr. 3, i NIS 2-loven den til væsentlig enhed, uanset hvor stor den er. Forholdet mellem de to love står i NIS 2 og CER.
CER-lovens § 6 kræver modstandsdygtighedsforanstaltninger, bl.a. medarbejdersikkerhed med procedurer for baggrundskontrol. § 9 giver ministeren hjemmel til efter forhandling med justitsministeren at fastsætte regler om, på hvilke betingelser kritiske enheder i behørigt begrundede tilfælde kan få foretaget baggrundskontrol. Det gælder personer med følsomme opgaver, personer med direkte adgang eller fjernadgang til enhedens lokaler, oplysninger eller kontrolsystemer, og personer, der overvejes ansat i sådanne stillinger.
En ændringslov fra januar 2026 (nr. 135) har siden skiftet CER-lovens bilag 1 om sektorer og enhedskategorier ud. Paragraf 9 står uændret. Ved gennemgangen i november 2026 er der ikke fundet regler udstedt efter § 9. Tjek Retsinformation, før I bygger en procedure på bestemmelsen.
Forskellen i en audit
Det følgende er en tolkning af, hvordan forskellen slår igennem i auditkriterierne.
Hos en almindelig NIS 2-enhed er kriteriet vejledningens forslag og anbefalinger. Auditor ser på, om enheden har vurderet behovet ud fra rollerne, og om vurderingen er dokumenteret. Et begrundet fravalg er et gyldigt resultat.
Hos en digital enhed er kriteriet forordningens punkt 10.2. Auditor ser efter kriterier for roller, kontrol før tiltrædelse og en politik, der gennemgås.
Hos en kritisk enhed afhænger kriteriet af, om der er udstedt regler efter § 9, og hvornår CER-lovens forpligtelser gælder for enheden. Se udpeget som kritisk enhed.
Kontrol af leverandørens personale hører under leverandørstyringen. Hvordan en kunde efterprøver leverandørens egne procedurer, er et emne for audit af leverandørforholdet.
Hvad det kræver, og hvad det koster at lade være
At placere jer kræver tre afklaringer. Er I en digital enhed? Er I identificeret som kritisk enhed? Og hvilke roller har så stor adgang, at en kontrol kan være begrundet? For de fleste er det et kort notat og en liste over roller.
Uden afklaringen risikerer I at indføre kontrol, I ikke har grundlag for, eller at overse et krav, der gælder jer. Begge dele er svære at rette, når en ansættelse er sket.
Det skal I lade være med
- At læse forordningens krav som gældende for alle · punkt 10.2 gælder digitale enheder.
- At bygge en procedure på CER-lovens § 9 uden at tjekke reglerne · bestemmelsen forudsætter nærmere regler.
- At bruge auditten som juridisk vurdering · hvad I må kontrollere, er et spørgsmål for en jurist.
Det skal auditten kunne vise
- ☐ En afklaring af, om I er almindelig NIS 2-enhed, digital enhed eller kritisk enhed.
- ☐ En liste over roller, hvor baggrundskontrol er vurderet, med begrundelse.
- ☐ For digitale enheder: kriterier, kontrol før tiltrædelse og en gennemgået politik.
- ☐ Aftalepunkter om kontrol af leverandørers personale, hvor det er valgt.
- ☐ Dato for seneste tjek af CER-lovens gældende tekst og regler efter § 9.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 4 og § 6, læst 12. november 2026.
- Lov nr. 433 af 6. maj 2025 (CER-loven), §§ 6 og 9, læst 12. november 2026.
- Lov nr. 135 af 27. januar 2026 om ændring af lov om beskyttelsesrum og CER-loven, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 10.2, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 4 og 9.a, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Afgør først, hvilket af de tre regelsæt der gælder jer, og skriv derefter de roller op, hvor en kontrol kunne være begrundet.
Læs også: Aktiver efter punkt 12 · Privilegerede konti efter punkt 11
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
